Alternativas a Doppler para gestionar secretos: adónde ir y cómo migrar sin riesgos

Por qué irte a Infisical. Es la única herramienta de la lista que sabe traer tus secretos de Doppler por sí sola. La lógica te resultará conocida: proyectos, entornos y sincronizaciones hacia tus plataformas. La diferencia de fondo es la licencia. El núcleo de Infisical tiene licencia MIT y se puede alojar gratis. Puedes empezar en su nube y llevártelo a tus servidores el día que depender de un tercero se convierta en un problema.

Para quién. El equipo de desarrollo al que le gusta Doppler pero quiere una salida del modelo solo en la nube, o que necesita secretos dinámicos (credenciales creadas al momento y revocadas después) y rotación automática.

Para quién no. El equipo con muchas cuentas de servicio y pocas personas. Infisical cobra cada identidad, humana o de máquina. Tus 15 robots de despliegue no costaban nada en Doppler; aquí, cada uno suma.

Su límite. El plan gratuito llega a 5 identidades y 3 entornos, sin rotación, sin secretos dinámicos y sin inicio de sesión único. Pro cuesta 20 $ por identidad y mes en pago anual (23 $ mensual), y la rotación y los secretos dinámicos están en Advanced, a 40 $ (46 $ mensual). Haz la cuenta: 10 desarrolladores y 5 cuentas de servicio en Pro son 300 $ al mes, frente a 210 $ en Doppler Team para las mismas 10 personas.

Cómo migrar a Infisical. Crea un token en Doppler (personal o de servicio) y regístralo en Infisical como conexión de aplicación de Doppler. En tu proyecto, elige añadir secretos, luego la opción de añadir desde Doppler, selecciona el proyecto y la configuración de Doppler y lanza la importación. Cada importación toma una configuración y la guarda en un solo entorno: con 3 proyectos de 4 configuraciones, son 12 importaciones. Admite configuraciones raíz y de rama. La documentación no explica cómo trata los duplicados ni las referencias entre secretos: prueba antes con una configuración de muestra.

Su precio. Gratis hasta 5 identidades, Pro a 20 $ por identidad y mes en pago anual, Advanced a 40 $, Enterprise bajo presupuesto. Prueba de 30 días sin tarjeta.

Por qué irte a Bitwarden Secrets Manager. Por el precio. Teams cuesta 6 $ por usuario y mes, frente a los 21 $ de Doppler Team. Con 10 desarrolladores, la factura baja de 210 $ a 60 $ al mes. El almacenamiento de secretos es ilimitado, y el gestor de contraseñas del mismo proveedor suele estar ya instalado en la empresa. Si también dejas Bitwarden para las contraseñas, nuestra guía para dejar Bitwarden cubre la otra mitad.

Para quién. El equipo pequeño que guarda secretos estáticos (claves de API, contraseñas de base de datos, tokens) y quiere una factura sencilla. El plan gratuito cubre 2 usuarios, 3 proyectos y 3 cuentas de máquina: suficiente para un proyecto personal.

Para quién no. El equipo que busca secretos dinámicos o rotación automática. Tampoco el que dependía de las sincronizaciones de Doppler hacia diez plataformas: aquí la oferta es más sobria.

Su límite. Las cuentas de máquina cuentan. Teams incluye 20 y cada una extra cuesta 1 $ al mes. Enterprise, a 12 $ por usuario, sube a 50 cuentas de máquina y añade inicio de sesión único, aprovisionamiento SCIM y autoalojamiento. Los precios se publican en dólares, con suscripción anual y sin impuestos.

Cómo migrar a Bitwarden Secrets Manager. No hay importación desde Doppler. Exporta cada configuración de Doppler en JSON y vuelve a crear los secretos en un proyecto de Bitwarden con un pequeño script. Crea una cuenta de máquina por aplicación, con acceso solo a su proyecto, y cambia los tokens de servicio de Doppler por esas cuentas en tu integración continua.

Su precio. Gratis para 2 usuarios, Teams a 6 $ por usuario y mes, Enterprise a 12 $.

Por qué irte a AWS Secrets Manager. Muchos equipos sincronizan Doppler hacia AWS Secrets Manager y sus servicios leen de AWS. Uno de ellos lo reconocía en un foro: quizá con Secrets Manager les bastaría. Si tus aplicaciones ya corren en AWS, te quitas un eslabón, una factura y un punto de fallo. Los permisos se gestionan con IAM, que tu equipo ya conoce.

Para quién. El equipo cuya producción vive entera en AWS y que tiene pocos desarrolladores que atender en local. Los clientes nuevos de AWS reciben hasta 200 $ en créditos de la capa gratuita.

Para quién no. El equipo repartido entre varias nubes, o el que valora la experiencia local de Doppler (un comando y las variables están ahí). AWS no ofrece un equivalente listo para el portátil del desarrollador.

Su límite. Pagas por secreto: 0,40 $ por secreto y mes, más 0,05 $ por cada 10.000 llamadas. Y dependes un poco más de AWS.

Cómo migrar a AWS Secrets Manager. Exporta cada configuración de Doppler en JSON y guárdala tal cual en un solo secreto de AWS en formato JSON. Es el truco que cambia la factura: 300 valores guardados uno a uno cuestan 120 $ al mes; los mismos valores agrupados en 12 secretos (3 proyectos, 4 configuraciones) cuestan 4,80 $. En la aplicación, lee el secreto al arrancar en lugar de usar doppler run. Si automatizas AWS con Make, nuestros escenarios de Make para AWS KMS y secretos te dan ejemplos.

Su precio. 0,40 $ por secreto y mes, 0,05 $ por 10.000 llamadas, nada por usuario.

Por qué irte a OpenBao o Vault. Es la respuesta más directa a «Doppler solo existe en la nube». Tus secretos se quedan en tus servidores y ganas funciones que Doppler no tiene: secretos dinámicos (credenciales de base de datos creadas para una hora y luego revocadas), cifrado como servicio y concesiones con duración limitada. OpenBao es el derivado libre de Vault, con licencia MPL 2.0 y gratis. Vault Community sigue siendo gratis para uso interno, con licencia BSL.

Para quién. El equipo que ya tiene a alguien manteniendo infraestructura y para el que confiar en un tercero es el verdadero motivo de salida.

Para quién no. El equipo pequeño que eligió Doppler justo para no mantener nada. Aquí te toca desellar tras cada reinicio, el almacenamiento, las actualizaciones y las políticas de acceso. Si nadie quiere hacer guardias, no es para ti.

Su límite. OpenBao no tiene servicio gestionado oficial. En el lado de Vault, HCP Vault Dedicated cuesta unos 450 $ al mes solo por un clúster de desarrollo, más que Doppler Team para 20 personas. Nuestra guía para dejar HashiCorp Vault explica las dos opciones.

Cómo migrar a OpenBao. No hay importación desde Doppler. Exporta cada configuración en JSON y escríbela en el motor de clave-valor, una ruta por proyecto y configuración (por ejemplo proyecto/produccion). Crea una política y un método de autenticación por aplicación y sustituye doppler run por el agente o por una llamada a la API al arrancar.

Su precio. OpenBao es gratis, igual que Vault Community para uso interno. Tu coste real son los servidores y el tiempo del equipo.

Por qué irte a Azure Key Vault. La misma lógica que con AWS: si tus aplicaciones corren en Azure, Key Vault ya está a su lado. Además gestiona claves y certificados, algo que Doppler no hace.

Para quién. La empresa que ya trabaja con Microsoft 365 y Azure, cuyo equipo de seguridad prefiere un servicio del mismo proveedor a auditar una herramienta más.

Para quién no. El desarrollador que quiere una interfaz pensada para él, con entornos y ramas como en Doppler. Key Vault es una caja fuerte, no un gestor de configuración.

Su límite. No tiene entornos integrados: creas una caja fuerte por entorno o lo indicas en el nombre de cada secreto. Y no ofrece secretos dinámicos al estilo de Vault.

Cómo migrar a Azure Key Vault. Exporta cada configuración de Doppler en JSON y crea un secreto de Azure por valor con un script. Guarda una configuración por caja fuerte (una de producción, otra de pruebas) para mantener la separación de permisos que te daba Doppler. En la aplicación, lee los secretos al arrancar en lugar de usar doppler run.

Su precio. Pago por uso: 0,0269 € por cada 10.000 operaciones con secretos en la región España Central. Nada por usuario.

Por qué irte a Akeyless. Mantienes la comodidad de un servicio gestionado, con un plan gratuito que va más lejos que el de Doppler en un punto: incluye secretos dinámicos y rotación, en pequeñas cantidades. También se presenta frente a Doppler por su modelo de despliegue, en la nube o híbrido.

Para quién. El equipo que quiere probar los secretos dinámicos sin montar un clúster, o que conecta pocos clientes (5 clientes, 500 secretos estáticos, 5 secretos dinámicos y 5 rotaciones en el plan gratuito).

Para quién no. Quien deja Doppler por el precio y quiere conocer la factura antes de migrar. Más allá del plan gratuito, Akeyless no publica precios.

Su límite. El plan gratuito guarda 3 días de registro, como Doppler Developer. Y Enterprise va bajo presupuesto: pide una cifra por escrito antes de comprometerte.

Cómo migrar a Akeyless. No hay importación desde Doppler. Exporta cada configuración en JSON y vuelve a crear los secretos con un script, con una carpeta por proyecto y entorno. Empieza por un solo proyecto para comprobar que no pasas de los 500 secretos estáticos del plan gratuito.

Su precio. Gratis dentro de esos límites, Enterprise bajo presupuesto.

Por qué irte a dotenvx. Es otra filosofía. En lugar de confiar tus secretos a un servicio, cifras tus archivos .env y los guardas en Git junto a tu código. Sin llamadas a la red al arrancar y sin miedo a la caída de un tercero. El plan User es gratis.

Para quién. El desarrollador que trabaja solo o el equipo muy pequeño, con uno o dos proyectos, que usaba Doppler sobre todo para compartir variables entre su portátil y producción.

Para quién no. El equipo que necesita registro de actividad, permisos por persona o rotación. Con archivos cifrados, quien tiene la clave de descifrado lee el archivo entero.

Su límite. Cuando un desarrollador se va, toca cambiar claves y secretos: se queda con una copia del repositorio. Y la gestión de las claves de descifrado (dónde guardarlas, quién las tiene) pasa a ser cosa tuya.

Cómo migrar a dotenvx. Exporta cada configuración de Doppler en formato env directamente a la ubicación del archivo .env de tu proyecto, cífralo enseguida con dotenvx y comprueba que no se ha subido ninguna versión en claro a Git. Guarda la clave de descifrado en los secretos de tu integración continua, nunca en el repositorio.

Su precio. User a 0 $, Member a 5 $ al mes, Business a 90 $ al mes y cada puesto adicional a 15 $ al mes.